In breve
La clausola 5.3, comune a tutte le norme ISO sui sistemi di gestione, chiede di assegnare responsabilità e autorità per tenere il sistema conforme e riferirne le prestazioni alla direzione.
Il rappresentante della direzione era richiesto dalla ISO 9001 fino all'edizione 2008: oggi non è più obbligatorio, ma i suoi compiti vanno comunque assegnati.
L'alta direzione può delegare l'esecuzione ma resta responsabile dell'efficacia del sistema, e il riesame lo conduce lei.
Il tempo necessario non ha un numero standard: dipende da norme, dimensioni, maturità, fase del ciclo, process owner e strumenti.
Il responsabile coordina, non possiede: process owner, scadenziario condiviso e un sostituto evitano che diventi un collo di bottiglia.
Chi tiene in piedi il sistema ISO in una PMI? Spesso una persona che fa già altro. È l'impiegata dell'ufficio tecnico che "si occupa anche della qualità", il responsabile acquisti che segue la ISO 9001 da quando è arrivata la certificazione, l'office manager a cui è toccata la ISO 27001 perché "sa usare bene i computer". Il responsabile del sistema di gestione è quasi sempre un ruolo aggiunto a un altro.
In questa guida vediamo cosa chiedono davvero le norme ISO su questo ruolo, perché il vecchio "rappresentante della direzione" non è più obbligatorio, cosa deve fare in concreto chi tiene il sistema e quali competenze gli servono. Parleremo anche di tempo, ma senza numeri inventati: ti mostriamo i fattori che fanno crescere o calare l'impegno, così puoi stimarlo per la tua azienda. Il filo conduttore è uno: il responsabile coordina il sistema, non lo possiede. Se diventa l'unico che sa dove sono i documenti e quando scadono le cose, il sistema si ferma con lui.
Chi è il responsabile del sistema di gestione?
Il responsabile del sistema di gestione è la persona, o il gruppo, a cui l'alta direzione assegna due compiti: tenere il sistema conforme ai requisiti della norma e riferire alla direzione sulle sue prestazioni. Lo stabilisce la clausola 5.3, comune a tutte le norme ISO sui sistemi di gestione.
Il motivo per cui la clausola è uguale in ISO 9001, ISO 14001, ISO 27001, ISO 45001 e nelle altre norme di sistema è la struttura armonizzata, il testo comune che ISO impone a tutte (nelle Direttive ISO è l'Annex SL, Appendice 2). UNI ne ha pubblicato la traduzione italiana con una guida all'uso: è la fonte da cui partiamo. Ogni norma aggiunge poi il proprio ambito e, se serve, requisiti specifici sui ruoli della sua disciplina.
Cosa dice la clausola 5.3
La clausola 5.3, "Ruoli, responsabilità e autorità", chiede all'alta direzione due cose. La prima, generale: assicurare che responsabilità e autorità per i ruoli pertinenti siano assegnate e comunicate all'interno dell'organizzazione. Vale per tutti i ruoli che contano nel sistema, non solo per il responsabile.
La seconda è più specifica. L'alta direzione deve assegnare responsabilità e autorità per assicurare che il sistema sia conforme ai requisiti della norma e per riferire alla direzione sulle prestazioni del sistema. Nota due dettagli. La norma parla di responsabilità e autorità, non solo di compiti: chi tiene il sistema deve poter chiedere, sollecitare e fermare, non solo raccogliere moduli. E la guida della struttura armonizzata precisa che questi compiti possono essere assegnati a un individuo, a più individui o a un gruppo.
Responsabile qualità, RSGQ, referente ISO: i nomi cambiano
La norma non dà un nome al ruolo, e infatti ogni azienda lo chiama a modo suo. In ambito qualità si parla spesso di responsabile qualità o RSGQ, in ambito sicurezza delle informazioni di responsabile del sistema di gestione per la sicurezza delle informazioni, in un sistema integrato di responsabile del sistema integrato.
Il nome conta poco. Conta che in organigramma o in una nomina firmata dalla direzione sia scritto chi ha i due compiti della clausola 5.3 e con quale autorità: l'auditor lo chiederà, e "un po' tutti" non è una risposta. Se ti serve un quadro generale di come è fatto un sistema qualità, trovi tutto nella guida sul sistema di gestione qualità ISO 9001.
Il rappresentante della direzione esiste ancora?
No, come obbligo non esiste più. Fino all'edizione 2008 la ISO 9001 chiedeva di nominare un rappresentante della direzione; con l'edizione 2015 questo requisito è stato tolto, e la struttura armonizzata comune a tutte le norme non lo prevede.
Lo conferma l'ISO 9001 Auditing Practices Group, il gruppo di esperti di ISO/TC 176 e IAF che pubblica le guide per gli auditor. Nella guida sull'audit dell'alta direzione scrive che la posizione di rappresentante della direzione era richiesta dalle edizioni precedenti al 2015. Se l'organizzazione decide di non mantenerla, l'auditor deve guardare con attenzione a come sono state distribuite le responsabilità e le autorità che storicamente erano associate a quel ruolo.
Cosa è cambiato davvero
Il cambiamento non è "meno lavoro", è più responsabilità per la direzione. Con un rappresentante nominato, era facile che la direzione delegasse a lui, di fatto, tutto il sistema. Oggi la clausola 5.1 chiede all'alta direzione di dimostrare leadership e impegno in prima persona, e la 5.3 le chiede di assegnare i compiti in modo esplicito.
Nella pratica il ruolo serve ancora: qualcuno deve pur coordinare documenti, audit, azioni correttive e riesame. La differenza è che oggi puoi organizzarlo come vuoi. Puoi mantenere una figura unica, dividere i compiti tra più persone o affidarli a un piccolo comitato. Quello che non puoi fare è lasciarli senza un titolare chiaro.
Puoi tenere il titolo, se ti è utile
Nulla ti vieta di continuare a chiamare qualcuno "rappresentante della direzione". L'importante è che il titolo corrisponda a responsabilità e autorità reali, scritte e comunicate.
Il rischio è un titolo storico assegnato a chi ha cambiato ruolo o non ha più tempo. L'auditor non contesta il nome, contesta la distanza tra carta e realtà.
Cosa resta all'alta direzione e cosa si può delegare?
All'alta direzione resta la responsabilità finale sull'efficacia del sistema; al responsabile si delega l'esecuzione e il coordinamento. La struttura armonizzata lo dice in modo esplicito nella guida alla clausola 5.1.
La clausola 5.1 elenca cosa deve assicurare la direzione: politica e obiettivi compatibili con la strategia, integrazione dei requisiti nei processi aziendali, risorse disponibili, comunicazione dell'importanza del sistema, conseguimento dei risultati attesi, supporto alle persone, miglioramento continuo. La guida della struttura armonizzata precisa che "assicurare" significa che la direzione non deve fare tutto da sola: può delegare il potere di farlo, ma resta responsabile dell'esecuzione.
La linea di confine in pratica
In concreto, il responsabile del sistema può preparare la politica, ma è la direzione a stabilirla. Può proporre gli obiettivi, ma è la direzione a fissarli e a dare le risorse per raggiungerli. Può raccogliere tutti i dati per il riesame, ma il riesame lo fa la direzione, e le decisioni che ne escono sono sue.
Attività | Chi la esegue di solito | Chi ne risponde |
|---|---|---|
Politica e obiettivi del sistema | Responsabile del sistema (bozza) | Alta direzione |
Risorse per il sistema | Responsabile (richiesta motivata) | Alta direzione |
Documenti, registrazioni, scadenze | Responsabile e process owner | Responsabile del sistema |
Prestazioni del sistema | Responsabile (report) | Alta direzione (riesame) |
Azioni correttive | Process owner | Process owner, coordinate dal responsabile |
Il riesame della direzione è proprio il momento in cui i due ruoli si incontrano: il responsabile porta i dati, la direzione decide. Se vuoi approfondire come prepararlo e cosa deve contenere, leggi la guida sul riesame della direzione ISO.
Cosa fa davvero il responsabile del sistema di gestione?
Il responsabile del sistema di gestione tiene il ritmo del sistema: fa in modo che documenti, controlli, audit, azioni e riesami avvengano quando devono e lascino evidenze. Non deve fare tutto, deve sapere a che punto è tutto.
Le sue attività ricorrenti si raggruppano in cinque aree. La prima è il governo dei documenti: tenere aggiornate procedure, istruzioni e registrazioni, con le versioni giuste nei posti giusti. La seconda è lo scadenziario: audit, riesami, tarature, rinnovi di qualifiche, valutazioni dei fornitori, adempimenti legali. La terza è il coordinamento di non conformità e azioni correttive, verificando che vengano chiuse e che funzionino. La quarta è il reporting alla direzione sulle prestazioni. La quinta è il rapporto con l'organismo di certificazione: pianificare gli audit esterni, preparare l'azienda, gestire i rilievi.
Un anno tipo, mese per mese
Prendiamo un'azienda di 60 persone che produce componenti in plastica, certificata ISO 9001. La responsabile del sistema è Giulia, che è anche responsabile acquisti. Il suo anno è scandito da poche tappe fisse: il programma di audit interni a inizio anno, gli audit interni nei mesi successivi, il riesame della direzione prima dell'audit esterno, l'audit di sorveglianza, la chiusura dei rilievi.
Tra una tappa e l'altra c'è il lavoro continuo: una procedura da aggiornare, un reclamo che apre una non conformità, un fornitore da qualificare, un patentino in scadenza. Senza scadenziario, Giulia scopre tutto insieme nel mese prima dell'audit, ed è lì che il ruolo diventa insostenibile.
Cosa non dovrebbe fare
Il responsabile non dovrebbe scrivere da solo tutte le procedure: chi lavora nei processi sa come funzionano, lui le rende coerenti. Non dovrebbe compilare al posto dei reparti le registrazioni che spettano a loro. E non dovrebbe verificare il proprio lavoro.
L'ultimo punto riguarda l'audit interno. La clausola 9.2 chiede di scegliere gli auditor e condurre gli audit in modo da assicurare obiettività e imparzialità. Il responsabile può coordinare il programma di audit, ma è meglio che le attività che gestisce direttamente, come il controllo dei documenti o la gestione delle azioni correttive, siano verificate da qualcun altro. Ne parliamo in dettaglio nella guida sull'audit interno ISO.
Quali competenze servono al responsabile del sistema di gestione?
Al responsabile servono tre gruppi di competenze: conoscenza della norma, conoscenza dei processi aziendali e capacità di far muovere le persone. La terza è quella che manca più spesso, e quella che fa la differenza.
Anche il responsabile rientra nella clausola 7.2: l'organizzazione deve stabilire le competenze necessarie per chi svolge attività che incidono sulle prestazioni del sistema, assicurare che sia competente per istruzione, formazione o esperienza e conservarne le evidenze. Il ruolo del responsabile incide sulle prestazioni del sistema più di qualunque altro, quindi le sue competenze vanno definite e dimostrate come quelle degli altri ruoli chiave.
Competenze tecniche
Sul piano tecnico servono la conoscenza dei requisiti della norma o delle norme applicate, la capacità di leggere un processo e trovarne i punti di controllo, la gestione documentale e la conoscenza dei principi dell'audit. Per la sicurezza delle informazioni, l'ambiente o la salute e sicurezza si aggiunge la conoscenza della materia: non si gestisce un sistema ISO 27001 senza capire i rischi informatici, né un sistema ISO 45001 senza conoscere la normativa sulla sicurezza. Non serve essere esperti di tutto: serve sapere chi chiamare, per esempio il responsabile IT o l'RSPP.
Competenze organizzative e di autorità
Sul piano organizzativo servono pianificazione, capacità di dare priorità e di comunicare con la direzione in termini di rischi e risultati, non di requisiti. Un responsabile che va in riunione con l'elenco dei moduli da compilare perde l'attenzione in due minuti; uno che porta tre dati e una decisione da prendere viene ascoltato.
Serve anche autorità, ed è un punto delicato. Se il responsabile è un impiegato junior che deve sollecitare i capireparto, ogni richiesta diventa una trattativa. Per questo la clausola 5.3 parla di autorità oltre che di responsabilità: la direzione deve renderla visibile, per esempio con una comunicazione interna o presentando il ruolo nelle riunioni con i responsabili di funzione.
Come dimostrare la competenza del responsabile
Le evidenze sono le stesse che usi per gli altri ruoli: requisiti del ruolo scritti, formazione sulla norma, esperienza documentata, eventuali qualifiche da auditor interno. Una buona evidenza è anche il risultato: un sistema con azioni chiuse nei tempi e riesami completi dimostra competenza più di un attestato. Per impostare questa parte trovi un metodo pratico nella guida su competenza, formazione e consapevolezza.
Quanto tempo serve per gestire il sistema?
Non esiste un numero di ore valido per tutti, e le norme non ne indicano. La clausola 7.1 chiede di determinare e fornire le risorse necessarie per il sistema, e la guida della struttura armonizzata cita espressamente il tempo tra le risorse da considerare.
Il tempo dipende da alcuni fattori che puoi valutare per la tua azienda. Ti conviene stimarlo a partire da questi, anziché da un numero sentito in giro.
Fattore | Fa crescere l'impegno quando… | Lo riduce quando… |
|---|---|---|
Numero di norme | Gestisci più sistemi separati | Hai un sistema integrato con processi comuni |
Dimensioni e siti | Ci sono più sedi o turni | Un solo sito, organizzazione semplice |
Maturità del sistema | Sei nel primo anno o in transizione | Il sistema è stabile da qualche ciclo |
Fase del ciclo | Sei vicino a stage 1, stage 2 o ricertificazione | Sei a metà ciclo, tra due sorveglianze |
Coinvolgimento dei process owner | Tutto passa dal responsabile | I reparti gestiscono le proprie registrazioni |
Strumenti | Documenti sparsi tra cartelle ed email | Documenti, evidenze e scadenze in un unico posto |
Supporto esterno | Il responsabile deve fare anche gli audit interni | Audit interno e preparazione sono affidati a un esperto |
I picchi contano più della media
L'impegno non è distribuito in modo uniforme. Ci sono settimane di picco prima degli audit esterni, durante gli audit interni e intorno al riesame, e mesi più tranquilli. Il problema delle PMI raramente è il totale annuo: è che i picchi cadono su una persona che ha anche un altro lavoro con le sue scadenze.
La domanda utile in direzione non è "quante ore servono?", ma "cosa lasciamo fare ad altri nelle settimane di picco?".
Più norme non significa moltiplicare il lavoro
Se hai o pensi di aggiungere una seconda norma, ricorda che le clausole della struttura armonizzata sono comuni. Riesame, audit interno, azioni correttive, competenze, controllo documenti possono essere un unico processo per tutte. Gestire tre sistemi separati triplica le riunioni; integrarli no. Ne parliamo nella guida sul sistema di gestione integrato.
Interno, esterno o condiviso: come organizzare il ruolo?
In una PMI le soluzioni che funzionano sono tre: una persona interna part-time, un piccolo gruppo interno con compiti divisi, oppure una persona interna affiancata da un supporto esterno esperto. La scelta dipende da dimensioni, numero di norme e competenze già presenti.
La persona interna part-time è la soluzione più semplice nelle aziende piccole. Funziona se il tempo dedicato al sistema è riconosciuto e protetto, e se qualcuno la sostituisce quando è assente. Il gruppo interno funziona bene nei sistemi integrati: per esempio una persona coordina e segue la qualità, il responsabile IT segue la parte di sicurezza delle informazioni, l'RSPP la salute e sicurezza.
Il supporto esterno non sostituisce il ruolo interno
Affiancare al responsabile un esperto esterno è utile soprattutto per le attività che richiedono competenze da auditor o indipendenza, come l'audit interno e la preparazione agli audit di certificazione. Ma la clausola 5.3 chiede all'alta direzione di assegnare responsabilità e autorità dentro l'organizzazione: serve comunque una persona interna che conosca l'azienda, prenda decisioni operative e risponda alla direzione.
Un supporto esterno che fa tutto, senza referente interno, produce un sistema che l'azienda non sente suo, e l'auditor se ne accorge intervistando le persone.
Come evitare che il responsabile diventi un collo di bottiglia?
Il responsabile diventa un collo di bottiglia quando tutto deve passare da lui per esistere. La soluzione è distribuire la titolarità dei processi e tenere al centro solo il coordinamento.
Torniamo a Giulia. Ogni reclamo, ogni non conformità, ogni modifica di procedura passava dalla sua scrivania; quando è andata in ferie due settimane prima dell'audit di sorveglianza, nessuno sapeva dove fosse il registro delle tarature. Il problema non era Giulia: era un sistema costruito intorno a una persona sola.
Cinque mosse concrete
Per evitarlo bastano poche mosse, valide in quasi tutte le PMI.
Nominano un process owner per ogni processo, responsabile delle proprie registrazioni e delle proprie azioni correttive.
Scrivono una matrice semplice di chi fa, chi decide e chi va informato per le attività principali del sistema.
Tengono uno scadenziario condiviso, visibile a direzione e process owner, non un file sul computer del responsabile.
Raccolgono le evidenze dove nasce il lavoro, nello stesso posto per tutti, invece di inviarle per email al responsabile.
Indicano un sostituto che conosce lo stato del sistema e può gestire l'ordinario in sua assenza.
Il segnale d'allarme
C'è un segnale semplice per capire se il ruolo sta diventando un collo di bottiglia: chiedi a tre persone di reparti diversi dove trovano la procedura aggiornata del loro processo e chi chiude le loro non conformità. Se tutte rispondono "chiedo al responsabile qualità", il sistema dipende da una persona. È lo stesso test che farà l'auditor, intervistando le persone sul campo.
Quali sono gli errori più comuni sul responsabile del sistema?
Gli errori più frequenti nascono da una nomina fatta per necessità, senza definire tempo, autorità e confini del ruolo. Sono anche errori che l'auditor nota facilmente.
Il primo è la nomina solo sulla carta: un nome nell'organigramma, nessuna comunicazione interna, nessuna autorità riconosciuta. Il secondo è il responsabile tuttofare, che scrive le procedure, compila le registrazioni e fa gli audit interni sui processi che gestisce lui stesso, con un problema di imparzialità. Il terzo è la direzione assente: il riesame viene preparato e "firmato" senza una vera discussione, e le decisioni non arrivano.
Poi ci sono errori più silenziosi: nessun sostituto, competenze del responsabile mai definite, tempo per il sistema mai discusso e sempre in coda al lavoro "vero". Quasi tutti si risolvono con una nomina scritta e comunicata, uno scadenziario condiviso e un riesame in cui la direzione decide davvero.
Come Complaion alleggerisce il responsabile del sistema di gestione
Con Complaion il responsabile del sistema non è più solo. Un Lead Auditor dedicato segue la tua azienda: valuta il contesto, ti propone il percorso più adatto alle tue esigenze su una o più norme e conduce l'audit interno. Chi fa il percorso con Complaion fa l'audit interno con noi, e il Lead Auditor non verifica il proprio lavoro operativo: l'imparzialità chiesta dalla clausola 9.2 è rispettata senza togliere tempo alle tue persone.
La piattaforma raccoglie in un unico posto evidenze e documenti, tiene lo scadenziario di audit, riesami e rinnovi e prepara l'audit con tutto già in ordine. Così le scadenze sono visibili a tutti, le evidenze arrivano da chi lavora nei processi e il responsabile coordina invece di inseguire. Il percorso con Complaion evita le non conformità e porta all'audit esterno con un successo del 100%. Oltre 1.000 clienti hanno già scelto questo modello. Se vuoi capire come organizzare il ruolo nella tua azienda, contattaci per una prima valutazione e un preventivo su misura.
Domande frequenti sul responsabile del sistema di gestione ISO
Il rappresentante della direzione è obbligatorio nella ISO 9001?
No. Era richiesto dalle edizioni della ISO 9001 precedenti al 2015, ma l'edizione 2015 non lo prevede più. Oggi la clausola 5.3 chiede all'alta direzione di assegnare responsabilità e autorità per tenere il sistema conforme e riferire sulle sue prestazioni, senza imporre un titolo. Puoi mantenere la figura se ti è utile, purché abbia responsabilità reali e comunicate.
Il responsabile del sistema di gestione può essere il titolare?
Sì, la norma non lo vieta, e nelle aziende molto piccole succede spesso. In quel caso devi però organizzare bene l'audit interno, perché il titolare non dovrebbe verificare le attività che gestisce direttamente. Serve anche un'attenzione in più al tempo: se il sistema dipende da chi ha già tutta l'azienda sulle spalle, rischia di essere sempre l'ultima priorità.
Il ruolo può essere affidato a una persona esterna?
Un supporto esterno può aiutare molto, soprattutto per audit interni e preparazione agli audit di certificazione. La clausola 5.3 però chiede di assegnare responsabilità e autorità all'interno dell'organizzazione, quindi serve comunque un referente interno che conosca l'azienda e risponda alla direzione. In una PMI una combinazione efficace è una persona interna affiancata da un esperto.
Quante ore a settimana servono per gestire un sistema ISO?
Le norme non indicano un numero di ore, e un valore valido per tutti non esiste. L'impegno dipende da numero di norme, dimensioni e siti, maturità del sistema, fase del ciclo di certificazione, coinvolgimento dei process owner e strumenti usati. Più dei totali contano i picchi prima degli audit: è lì che bisogna prevedere chi alleggerisce il responsabile dal resto del lavoro.
Quali competenze deve avere il responsabile qualità?
Conoscenza dei requisiti della norma, conoscenza dei processi aziendali, gestione documentale e principi di audit. Per norme come ISO 27001 o ISO 45001 serve anche la conoscenza della materia. Contano molto le competenze organizzative: pianificare, dare priorità, parlare con la direzione in termini di rischi e risultati. Come per ogni ruolo chiave, le competenze vanno definite e documentate secondo la clausola 7.2.
Il responsabile del sistema può fare l'audit interno?
Può coordinare il programma di audit, ma la clausola 9.2 chiede di scegliere gli auditor in modo da assicurare obiettività e imparzialità. Per questo non dovrebbe verificare le attività che gestisce direttamente, come il controllo dei documenti o le azioni correttive. Una soluzione frequente è affidarlo a un auditor qualificato esterno ai processi verificati, che porta anche lo sguardo di chi conosce gli audit di certificazione.
Con più norme serve un responsabile per ciascuna?
No, non necessariamente. Le norme ISO sui sistemi di gestione condividono la stessa struttura armonizzata, quindi riesame, audit interno, azioni correttive e controllo documenti possono essere gestiti come un unico processo. Spesso funziona un responsabile del sistema integrato che coordina, affiancato da referenti con le competenze specifiche, per esempio il responsabile IT per la sicurezza delle informazioni.
